[发明专利]软件更新装置

说明书

一种用于更新人员输送机(10)的软件的移动更新装置(34)，所述移动更新装置(34)包括：第一数据传输接口(33)，其配置用于接收已加密数据；解密单元(35)，其配置用于解密所接收的已加密数据；以及第二数据传输接口(37)，其配置用于与所述人员输送机(10)的控制单元(36)连接以及将已解密数据传输到所述控制单元(36)。

本发明涉及一种更新在人员输送机系统、更具体地电梯系统、自动扶梯或移动走道中的软件的方法。本发明还涉及一种用于更新在人员输送机系统、更具体地电梯系统中的软件的移动更新装置，并且涉及一种包括这样的移动更新装置的系统。

人员输送机系统具有特殊安全要求。因此，用来控制人员输送机操作的硬件或软件将是具有特定条件的重要部分以便满足这类安全要求。根据受控人员输送机系统的相应功能或操作的安全相关性程度，存在不同等级的安全完整性要求。针对这些安全要求的总体概述，参考国际标准IEC 61508-1至IEC 61508-3。

电梯系统是人员输送机系统的具体实例。另一实例将是自动扶梯或移动走道。以下，将使用电梯系统作为人员输送机系统的示例性实施方案来描述本发明。然而，应理解，对应考虑也适用于自动扶梯或移动走道。

在人员输送机系统中，使用连接到安全控制器(以下也称为安全单元)的传感器和/或开关装置(以下简称为安全开关)来控制或者至少监测安全关键操作。安全开关通常用在各种“安全点”，在这些地方必须在动作的发起之前并且若必要则还要在此动作的过程之中监测安全关键部件的状态。在典型配置中，一些这类安全开关具体地串联连接以形成所谓的“安全链”，使得所述动作只有在所有安全开关或更广义地说是开关装置都处于预定开关状态时才可开始或继续。例如，在电梯系统的情况下，必须确保在开始之前以及在电梯轿厢的行进期间所有门(轿厢门以及每个楼层上的层站门)保持关闭并且机械地锁定。因此，电梯轿厢的行进一般来说是不被允许的，除非在连接用于监测门关闭状态的相应安全开关的安全链中的所有安全开关都是闭合的。

现今，如本文描述的安全单元通常涉及软件以控制其操作以及监测所述单元和所连接安全开关的正确运行。已开发出特定测试协议用于测试人员输送机的安全链中使用的安全开关的正确运行。判定何时与如何实施此类测试协议以及如何评估测试协议的结果的程序是由存在于安全单元中的特定安全相关软件控制的，安全链的开关连接到所述安全单元并且所述安全单元控制安全链的操作和状态。这种软件经认证来执行特定安全相关功能。这种安全相关软件的编程需要极其小心，例如，通常所设置的任何功能均需要提供冗余。

需要时常更新人员输送机系统中的这种安全相关软件。新软件可经由无线和/或接线网络传输到人员输送机系统。这促进了更新过程，因为不需要包括适当软件的数据载体，软件可能在数据载体使用时已经过时。然而，经由网络传输软件包含软件被窥探、窃取或修改的风险。从而，在更新这种安全相关软件时需要特别小心。

因此，提供允许容易地又安全地更新电梯系统的软件的方法将是有益的。

根据本发明的示例性实施方案，一种更新人员输送机的软件的方法包括以下步骤：

(a)在更新服务器和移动更新装置之间建立第一数据传输连接；

(b)将来自所述更新服务器的已加密数据传输到所述移动更新装置；

(c)在所述移动更新装置中解密所述数据；

(d)在所述人员输送机和所述移动更新装置之间建立第二数据传输连接；以及

(e)将来自所述移动更新装置的已解密数据传输到所述人员输送机。

显而易见，建立所述第二数据传输连接的步骤(d)也可在步骤(a)、(b)和(c)中的任何步骤之前执行。

更新所述软件的所述方法也可包括将从所述服务器接收的所述已加密数据储存在所述移动更新装置上以便解密并随后传输到所述人员输送机。

根据本发明的示例性实施方案，一种配置用于更新人员输送机的软件的移动更新装置包括：